2016年如何應(yīng)對(duì)云安全風(fēng)險(xiǎn)？京東這些方法可以借鑒

　　自谷歌2006年率先提出“云計(jì)算”概念以來(lái)，云計(jì)算在飛速發(fā)展。近年來(lái)，國(guó)內(nèi)隨著政府及公司的持續(xù)高速增長(zhǎng)和大力推動(dòng)，云服務(wù)迎來(lái)信息技術(shù)發(fā)展的新一級(jí)增長(zhǎng)模式。當(dāng)云計(jì)算加速推動(dòng)變革，越來(lái)越多的業(yè)務(wù)也開始在云端開展，更多的應(yīng)用、更多的數(shù)據(jù)被部署在云端，云計(jì)算面臨的安全問(wèn)題也隨之更嚴(yán)峻。

　　基于漏洞、病毒、未知威脅的攻擊逐漸頻繁且智能化，根據(jù)之前云安全聯(lián)盟(CSA)的報(bào)告指出，云服務(wù)天生就能使用戶繞過(guò)公司范圍內(nèi)的安全策略，建立起自己的影子IT項(xiàng)目服務(wù)賬戶。面臨種種情況，新的安全控制策略必須被引入，加促云安全成為企業(yè)防護(hù)的重中之重。

　　打造完整生態(tài)圈

　　當(dāng)云安全做為下一階段“云”分支的爆發(fā)點(diǎn)和各個(gè)巨頭互聯(lián)網(wǎng)公司下一階段的投資主線時(shí)，如何將資源整合，共謀技術(shù)發(fā)展，打造生態(tài)圈或許是一個(gè)新的趨勢(shì)。

　　國(guó)內(nèi)的云計(jì)算服務(wù)商，阿里面向開發(fā)者推出了阿里聚安全，為開發(fā)者提供互聯(lián)網(wǎng)安全解決方案，并收購(gòu)了號(hào)稱“中國(guó)火眼”的瀚海源;騰訊云率先拉攏賽門鐵克、綠盟、北信源等安全廠商發(fā)起了云安全產(chǎn)業(yè)聯(lián)盟;華為安全也在全球大量流量清洗中心合作，成立云清聯(lián)盟，采取近源清洗的方式，有效抵抗DDOS攻擊。

　　事實(shí)上，安全領(lǐng)域的收購(gòu)與結(jié)盟正變得愈加頻繁，英特爾收購(gòu)邁克菲更是成就了信息安全史上最大的收購(gòu)案。與此同時(shí)，外眾多大型IT公司也在向云計(jì)算轉(zhuǎn)型，IBM、微軟等都在不遺余力地發(fā)展其云計(jì)算，他們所收購(gòu)的對(duì)象也逐漸從傳統(tǒng)廠商變成了安全廠商。

　　不難發(fā)現(xiàn)，構(gòu)筑一個(gè)強(qiáng)大的生態(tài)聯(lián)盟成為眾多廠商都在致力的事情。京東作為一家受益于云計(jì)算，依靠云計(jì)算信息去支撐系統(tǒng)，利用數(shù)據(jù)引導(dǎo)電商精細(xì)化運(yùn)作的零售企業(yè)，對(duì)于云安全生態(tài)圈這個(gè)趨勢(shì)也有著自己獨(dú)到的看法。

　　“云安全不是靠單一某一企業(yè)就能全部完成，云安全需要有云服務(wù)供應(yīng)商、安全合作伙伴與用戶的共同打造?！币虼?，京東云希望通過(guò)構(gòu)建云服務(wù)安全生態(tài)與云服務(wù)安全大數(shù)據(jù)共享平臺(tái)來(lái)提升整個(gè)中國(guó)云計(jì)算安全服務(wù)能力，讓京東云的安全合作伙伴從單一安全產(chǎn)品功能和性能的比拼升級(jí)到云計(jì)算安全數(shù)據(jù)運(yùn)營(yíng)能力競(jìng)爭(zhēng)，從業(yè)務(wù)角度洞悉安全問(wèn)題，做到全面覆蓋、合作共贏。

　　隨著更多的企業(yè)通過(guò)聚合第三方安全廠商，為企業(yè)提供一站式的安全服務(wù)平臺(tái)，去構(gòu)建融合、開放、安全、共贏的云安全生態(tài)圈，云安全的生態(tài)圈發(fā)展進(jìn)步指日可待。

　　打破發(fā)展困境

　　當(dāng)各主流廠商云安全事故頻頻發(fā)，給人們?cè)俅吻庙懢?。云?jì)算行業(yè)的發(fā)展困境和瓶頸究竟在哪?業(yè)界有人談到，技術(shù)框架還是性能等新功能都可以復(fù)制，唯獨(dú)安全不可以。當(dāng)越來(lái)越多的服務(wù)商將精力放在性能提升、架構(gòu)等技術(shù)創(chuàng)新時(shí)，切不可忘了安全的保障，不談安全一切都是浮云。

　　面對(duì)各廠商資源共享、抱團(tuán)取暖、協(xié)同作戰(zhàn)的必然趨勢(shì)，京東指出，不開放、不透明仍讓是云安全所面臨的發(fā)展困境。

　　在共同合作的過(guò)程中，京東認(rèn)為一定要對(duì)安全合作伙伴需要開放。單個(gè)企業(yè)必定解決不了所有的問(wèn)題，云安全的發(fā)展離不開整個(gè)信息安全產(chǎn)業(yè)的支持。封閉的云平臺(tái)，不能真正實(shí)現(xiàn)安全大數(shù)據(jù)的共享，就不能有效發(fā)揮信息安全產(chǎn)業(yè)各廠商的整體能力。與其他友商一樣，京東云將以開放的姿態(tài)歡迎各信息安全廠商合作共建云安全。

　　目前，越來(lái)越多的企業(yè)選擇將他們的業(yè)務(wù)遷移到云端，但仍有一大部分企業(yè)很難相信云服務(wù)提供商能夠保護(hù)公司最敏感的數(shù)據(jù)，而對(duì)于對(duì)安全級(jí)別要求較高的公司而言，數(shù)據(jù)在不知情的情況下發(fā)生泄漏是非常危險(xiǎn)的事情。這其中很大一部分的原因就是因?yàn)樵品?wù)提供商的保護(hù)措施不夠透明。

　　京東認(rèn)為，客戶對(duì)于云安全的疑慮，一個(gè)重要的原因是客戶不信任云服務(wù)供應(yīng)商，未來(lái)京東云安全的一個(gè)重點(diǎn)就是對(duì)客戶透明，讓客戶了解京東云的安全風(fēng)險(xiǎn)控制技術(shù)措施，運(yùn)維流程和管理方式，并針對(duì)重點(diǎn)客戶開放安全數(shù)據(jù)接口，提供用戶審計(jì)API，讓客戶真正了解京東云，信任京東云安全運(yùn)營(yíng)保障能力，讓用戶能真切感受的云服務(wù)供應(yīng)商的運(yùn)維操作合規(guī)性與安全保障工作的到位情況。

　　基于大數(shù)據(jù)的安全分析

　　在RSA2014安全大會(huì)上，RedOwl Analytics獲得了“最具創(chuàng)新力公司”大獎(jiǎng)，該公司主要是以基于大數(shù)據(jù)分析和調(diào)查的新思路，提供主動(dòng)智能安全分析解決方案以減少企業(yè)的業(yè)務(wù)風(fēng)險(xiǎn)。

　　基于大數(shù)據(jù)的安全分析技術(shù)，通過(guò)搜集來(lái)自多種數(shù)據(jù)源的信息安全數(shù)據(jù)，深入分析挖掘有價(jià)值的信息，對(duì)未知安全威脅能做到提前響應(yīng)，降低風(fēng)險(xiǎn)，實(shí)現(xiàn)最佳的安全防護(hù)。作為安全領(lǐng)域的一種發(fā)展趨勢(shì)，老牌的安全廠商如果還抱著陳舊的思路和產(chǎn)品技術(shù)，滿足于修修補(bǔ)補(bǔ)而不是預(yù)先防范，或許會(huì)在技術(shù)變革中敗下陣來(lái)。

　　安全數(shù)據(jù)的數(shù)量、速度、種類的迅速膨脹，不僅帶來(lái)了海量異構(gòu)數(shù)據(jù)的融合、存儲(chǔ)和管理的問(wèn)題，也會(huì)顛覆傳統(tǒng)的安全分析方法。京東認(rèn)為大數(shù)據(jù)精準(zhǔn)分析是未來(lái)的趨勢(shì)，要從業(yè)務(wù)層深入分析安全入侵行為，更加有效的防范APT攻擊。京東具有最佳的業(yè)務(wù)數(shù)據(jù)分析實(shí)踐能力，結(jié)合信息安全行業(yè)特點(diǎn)，與第三方安全合作伙伴打造云平臺(tái)上的安全大數(shù)據(jù)分享平臺(tái)，包括安全運(yùn)營(yíng)數(shù)據(jù)的分享、與安全大數(shù)據(jù)分析平臺(tái)的共享，目標(biāo)是實(shí)現(xiàn)智能化的安全大數(shù)據(jù)分析，和業(yè)務(wù)層面的用戶安全態(tài)勢(shì)感知。

　　此外，保障云平臺(tái)的安全，京東也是從最底層的基礎(chǔ)架構(gòu)安全性入手，結(jié)合京東云大數(shù)據(jù)處理的能力，以及業(yè)界最優(yōu)秀的第三方安全廠商打造完整的生態(tài)圈，實(shí)現(xiàn)從云平臺(tái)、網(wǎng)絡(luò)、系統(tǒng)、數(shù)據(jù)和應(yīng)用系統(tǒng)安全的全面覆蓋。

　　應(yīng)對(duì)云安全威脅

　　現(xiàn)下云數(shù)據(jù)泄露似乎都快成為一種常態(tài)，隔三差五就曝出重大泄漏事故，而云服務(wù)商監(jiān)守自盜，讀取、利用數(shù)據(jù)又讓人防不勝防，各種安全事件讓用戶對(duì)云是又愛又恨。2016年，云計(jì)算到底面臨哪些安全風(fēng)險(xiǎn)?近日，云安全聯(lián)盟列出了2016年“十二大云安全威脅”，包括包括數(shù)據(jù)泄密、憑據(jù)或身份驗(yàn)證遭到攻擊或破壞、接口和API被黑客攻擊、利用系統(tǒng)漏洞等、賬戶被劫持等。

　　相信各大廠商對(duì)于此都有自己的應(yīng)對(duì)方法，當(dāng)然京東對(duì)此也非常關(guān)注，在安全能力規(guī)劃和產(chǎn)品設(shè)計(jì)上都有相應(yīng)部署。例如，針對(duì)數(shù)據(jù)泄密，京東數(shù)據(jù)云會(huì)提供業(yè)界領(lǐng)先的數(shù)據(jù)匿名和變形加密技術(shù)，真正從數(shù)據(jù)層面實(shí)現(xiàn)對(duì)客戶敏感數(shù)據(jù)的保護(hù);針對(duì)憑證被盜和身份驗(yàn)證如同虛設(shè)的問(wèn)題，京東云不僅可以實(shí)現(xiàn)異地登錄通知和驗(yàn)證，還支持SSH證書登錄方式(無(wú)密碼驗(yàn)證登錄)，徹底解決弱密碼問(wèn)題;有關(guān)界面和API被黑問(wèn)題，京東云對(duì)外開放的API都經(jīng)具有豐富互聯(lián)網(wǎng)安全實(shí)戰(zhàn)經(jīng)驗(yàn)的京東集團(tuán)安全部的嚴(yán)格審核，任何對(duì)外開放的API存在安全性問(wèn)題，京東安全部都有一票否決權(quán)。

　　由上述種種發(fā)現(xiàn)，云計(jì)算實(shí)際上已經(jīng)打破了傳統(tǒng)的信息安全保障體系設(shè)計(jì)、實(shí)現(xiàn)方法和運(yùn)維管理體系，當(dāng)今的網(wǎng)絡(luò)安全變得越發(fā)無(wú)界，難以防護(hù);同時(shí)，云計(jì)算的按需調(diào)配、資源彈性等特性，也會(huì)給安全措施的改進(jìn)升級(jí)、安全運(yùn)維管理帶來(lái)問(wèn)題和挑戰(zhàn)。

　　2016年，企業(yè)面臨的安全問(wèn)題將更加嚴(yán)峻，一些都在不斷推動(dòng)安全服務(wù)內(nèi)容、實(shí)現(xiàn)機(jī)制的創(chuàng)新和發(fā)展。如何應(yīng)對(duì)云計(jì)算帶來(lái)的安全風(fēng)險(xiǎn)?

　　加大與第三方優(yōu)秀安全廠商的合作力度，打造完整生態(tài)圈;從底層基礎(chǔ)架構(gòu)入手，結(jié)合大數(shù)據(jù)處理能力，實(shí)現(xiàn)云平臺(tái)、網(wǎng)絡(luò)、系統(tǒng)、數(shù)據(jù)和應(yīng)用系統(tǒng)安全的全面覆蓋;時(shí)時(shí)保持對(duì)云計(jì)算安全風(fēng)險(xiǎn)的敏銳關(guān)注，進(jìn)一步清晰云安全相關(guān)的安全技術(shù)服務(wù)內(nèi)容和范圍，并根據(jù)相關(guān)風(fēng)險(xiǎn)做出針對(duì)性策略部署。京東與各大廠商的這些做法，或許能成為2016年值得借鑒的方法。